SMS ve SIM Güvenliği: SIM Değiştirme Saldırıları Nasıl Çalışır

Ocak 2024'te SEC'in resmi X (Twitter) hesabı ele geçirildi. Bitcoin ETF onayına ilişkin sahte bir paylaşım, piyasaları milyarlarca dolar hareketlendirdi. Saldırı vektörü mü? SIM değişimi — Saldırgan, bir operatörü SEC'in telefon numarasını SIM kartına aktarmaya ikna etti ve ardından bunu hesap şifresini sıfırlamak için kullandı.

Telefon numaranız yalnızca size ulaşmanın bir yolu değildir. E-postanızın, banka hesaplarınızın, kripto cüzdanlarınızın ve sosyal medyanızın iskelet anahtarıdır. Ve çalmak şaşırtıcı derecede kolaydır.

SIM Değiştirme Saldırıları Nasıl Çalışır

SIM değiştirme saldırısı, bir saldırganın telefon numaranızı ele geçirdiği bir tür kimlik hırsızlığıdır. Süreç şu şekilde:

1. Adım: Kişisel Bilgileri Toplayın

Saldırgan, kişisel bilgilerinizi (adınız, adresiniz, doğum tarihiniz, SSN'nizin son dört hanesi) veri ihlallerinden, sosyal medyadan veya veri komisyoncu sitelerinden toplar. Bu bilgi genellikle operatör güvenlik sorularını iletmek için yeterlidir.

2. Adım: Taşıyıcıyla iletişime geçin

Saldırgan mobil operatörünüzü arar (veya bir mağazayı ziyaret eder) ve sizin kimliğinize bürünür. Telefonlarını kaybettiklerini veya yeni bir SIM karta ihtiyaçları olduğunu iddia ediyorlar. Toplanan kişisel bilgileri kullanarak kimlik doğrulamasını geçerler.

3. Adım: Numarayı Devralın

Operatör numaranızı saldırganın SIM kartına aktarır. Anında hizmeti kaybedersiniz. Saldırgan artık tüm aramalarınızı ve kısa mesajlarınızı alıyor — SMS doğrulama kodları.

Saldırgan buradan SMS tabanlı şifre kurtarmayı kullanarak e-posta, bankacılık ve kripto hesaplarınızın şifrelerini sıfırlar. Tüm süreç 30 dakikadan kısa sürer.

SMS Dinleme Yöntemleri

SIM değişimi SMS'i tehlikeye atmanın tek yolu değildir. Saldırganların birden fazla aracı vardır:

SS7 Protokolünün Kullanımı

SS7 (Sinyalizasyon Sistemi 7), telefon ağlarını küresel olarak birbirine bağlayan protokoldür. 1975 yılında sıfır güvenlik ile tasarlandı. SS7 ağına erişim sağlayan saldırganlar (çoğunlukla yolsuzluk yapan telekomünikasyon çalışanları aracılığıyla veya erişim satın alarak):

• SMS mesajlarını gerçek zamanlı olarak ele geçirin
• Telefon konumlarını küresel olarak takip edin
• Çağrıları farklı numaralara yönlendirme

2017'de suçlular, SMS 2FA kodlarını ele geçirerek Alman banka hesaplarını boşaltmak için SS7 saldırılarını kullandı. Bu teorik değil; geniş ölçekte gerçekleşiyor.

Telefonunuzdaki Kötü Amaçlı Yazılım

Mobil kötü amaçlı yazılım, gelen SMS mesajlarını doğrudan telefonunuzdan okuyabilir. Bazı çeşitler:

• Yükleme sırasında SMS izinleri isteyin
• Bankacılık uygulamalarına sahte ekranlar yerleştirin
• Mesajları sessizce saldırgana ilet

Sahte Baz İstasyonları (IMSI Yakalayıcılar)

Stingrays gibi cihazlar baz istasyonlarını taklit ederek yakındaki telefonları bağlanmaya zorlar. Bağlandıktan sonra saldırgan aramaları ve SMS mesajlarını engelleyebilir. Bu aygıtların maliyeti 1.000 ABD doları kadar düşük olup açık kaynak yazılımla oluşturulabilir.

SMS 2FA Neden Yeterince Güvenli Değil

Birçok hizmet, iki faktörlü kimlik doğrulama için hâlâ varsayılan olarak SMS'i kullanıyor. İşte bu yüzden tehlikeli:

• SMS şifrelenmez — mesajlar operatör ağı üzerinden düz metin olarak taşınır
• SIM takasları kolaydır — operatörlere takas saldırılarındaki ihmal nedeniyle dava açıldı
• SS7 bozuk — ve tüm küresel telefon altyapısı değiştirilmeden düzeltilemez
• Kurtarma kodları SMS adresine gider — kimlik doğrulayıcı bir uygulama kullansanız bile hesap kurtarma genellikle SMS
adresine gider

NIST (ABD Ulusal Standartlar ve Teknoloji Enstitüsü), 2016'dan bu yana SMS tabanlı kimlik doğrulamaya karşı öneride bulunuyor. Ancak çoğu banka hâlâ yalnızca SMS sunuyor.

Alternatif mi? Kimlik doğrulama uygulamaları (Google Authenticator, Authy) veya donanım güvenlik anahtarları (YubiKey). Kurulum talimatları için tam 2FA kılavuzumuzu okuyun.

Gerçek Dünyadaki SIM Değiştirme Vakaları

SEC Twitter Hack'i (2024)

ABD Menkul Kıymetler ve Borsa Komisyonu'nun X hesabı SIM takası yoluyla ele geçirildi. Sahte bir Bitcoin ETF onay gönderisi yayınlandı ve bu durum piyasada büyük dalgalanmalara neden oldu.

400 Milyon Dolarlık Kripto Hırsızlığı (2023)

Koordineli bir SIM değiştirme saldırısı, kripto yatırımcılarını hedef alarak SMS 2FA tarafından korunan cüzdanları tüketti. FBI yüzüğü tutukladı ancak fonların çoğu geri alınamadı.

Jack Dorsey'in Twitter'ı (2019)

Twitter'ın kendi CEO'sunun hesabı SIM takası yoluyla ele geçirildi. Bir teknoloji şirketinin CEO'su güvende değilse kimse güvende değildir.

Kendinizi Nasıl Korursunuz

1. Operatör Hesabınızda bir PIN belirleyin

Operatörünüzü arayın ve her türlü hesap değişikliğinde sağlanması gereken bir PIN veya şifre belirleyin. Bu en önemli adımdır:

• T-Mobile: Ayarlarda Hesap PIN'i
• AT&T: Ekstra Güvenlik şifresi
• Verizon: Hesap PIN
• Çoğu operatör: Güvenlik PIN'i istemek için müşteri hizmetlerini arayın

2. Authenticator Uygulamalarına geçin

Mümkün olan her yerde SMS 2FA'yı kimlik doğrulama uygulamasıyla değiştirin. Kodlar cihazınızda oluşturulur ve asla ağ üzerinden seyahat etmez.

Önerilen uygulamalar: Google Authenticator, Authy (bulut yedeklemesi vardır), Microsoft Authenticator. Maksimum güvenlik için bir YubiKey donanım anahtarı kullanın.

3. Sayı Kilidini / Bağlantı Noktası Dondurmayı Etkinleştir

Çoğu operatör, numaranızın resmi kimlikle şahsen doğrulanmadan taşınmasını önleyen bir özellik sunar. Şimdi etkinleştirin.

4. Finansal Hesaplar için Ayrı Bir Numara Kullanın

Özellikle bankacılık ve finans hizmetleri için bir Google Voice numarası veya ikincil ön ödemeli SIM kullanmayı düşünün. Bu numarayı herkese açık olarak paylaşmayın.

5. Numaranızı Genel Profillerden Kaldırma

Sosyal medyadaki telefon numaranız sosyal mühendisliği kolaylaştırır. Herkese açık profillerden kaldırın ve Whitepages, Spokeo ve BeenVerified gibi veri komisyoncusu sitelerinden çıkın.

6. SIM Değişimi İşaretlerini Takip Edin

Bunlardan herhangi birini yaşarsanız, derhal harekete geçin:

• Hücre sinyalinin ani kaybı
• "SIM'in temel hazırlığı yapılmadı" veya "Hizmet yok" mesajları
• Hesap değişiklikleriyle ilgili beklenmeyen operatör e-postaları
• Arama yapılamıyor veya mesaj gönderilemiyor

Böyle bir durumda: Derhal başka bir telefondan operatörünüzü arayın. Ardından e-postanızın şifrelerini değiştirin ve hesaplarınızın güvenliğini sağlayın.

İlgili Araçlar

• Şifre Oluşturucu — SMS başarısız olduğunda güçlü şifreler en iyi savunmanız olmaya devam eder
• 2FA Kılavuzu — SMS'den güvenli kimlik doğrulamasına geçiş
• E-posta Kurtarma Kılavuzu — hesapların güvenliği ihlal edildiğinde ne yapılmalı